ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


\api\StatusesApi.class.php
  y8 o! S$ c" V. P
function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
7 M8 v0 r& d$ d& o4 z     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
/ p5 V% D3 f, r- A, |       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
4 u# D+ E5 i2 |* o/ Y' ^1 M        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
1 E" n% ?* r& R5 e4 d       }
% Y0 L" a+ I' C( e5 k7 j1 X3 S     }else{
- D+ I' X, e6 p         $result['boolen']    = 0;
         $result['message']   = '上传失败';
. w9 F6 j4 \2 G9 K, a2 Z     }
: M0 H; W: m9 _% jreturn $result;
9 {: p/ r$ W) y5 q; O, y    }
unloadpic()方法没有对文件类型进行验证
+ M: ~% _& g# v$ T! F
, P6 X# c. d  g; \, F  }! k可以构建表单, 选择任意文件, 提交到
1 C% S8 ^5 A- B0 t/index.php?app=w3g&mod=Index&act=doPost
7 S% G" \  O( p% v, {* _
/ \. U3 h( c" y, v( U在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
构建以下表单:
2 C6 F2 T7 v6 I# [, e- Q
<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
& L3 {& b# U4 R8 d<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
1 z# a* S9 b) d* N- P) k<input type="submit" value="Post" />
</form>
; u* L. f2 i" n去掉缩略图的前缀(small_ )
, K; H1 [; a! H, i! ~​修复方案：


\api\StatusesApi.class.php
5 N) W" M  h! o" x; _6 P0 G9 A4 y
function uploadpic(){
/ M5 t* c9 }: M' B8 E     /**
: h! E, j7 [; Z& u      * 20121018 @yelo
( }! @0 @+ q( @- Y) ~      * 增加上传类型验证
9 p3 ^" a/ Z% w7 K      */
- y3 L' @& T0 h9 e( W     $pathinfo = pathinfo($_FILES['pic']['name']);
. P' N. s4 Y/ _2 q( l( F     $ext = $pathinfo['extension'];
# N7 l" V' E% _2 k% [6 k1 R/ C0 Z- s $allowExts = array('jpg', 'png', 'gif', 'jpeg');
6 `) b6 _, N8 @5 B6 m3 {
  i; M1 E7 E7 M* t6 z     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
; w) v& a% D+ J1 V) T     //执行上传操作
! z6 t9 D% [- g+ M2 h9 t# h, Z     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
/ u0 z- k- m- I        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
( {7 }3 K5 `$ C+ y       } else {
7 k# D9 L2 V( @6 G- i        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
  ~) U4 @! E9 L( w$ R         $result['boolen']    = 0;
1 f9 K  @; g6 N9 _% ^$ Q) A6 s         $result['message']   = '上传失败';
- L  s+ F6 I  _5 T8 w! L1 x( e; p4 l     }
return $result;
4 i7 m. O6 {: i5 t; a$ r3 E% V0 B    }
​
7 I0 r+ u7 S+ p2 e! b% Y